bit/nusantara

PHP2Shell: Cacat PHP Temuan AI Ancam 70% Web, Puluhan Layanan Inggris Mati

Redaksi Bit Nusantara ·

Bendera Indonesia merah dan putih di atas cakrawala laut yang luas dengan langit yang cerah.
Ilustrasi · Foto: Ahmad Zakaria / Pexels

TL;DR · Ringkasan

Kerentanan kritis bernama PHP2Shell pada bahasa pemrograman PHP, yang ditemukan dengan bantuan model kecerdasan buatan, membuat pemerintah dan perusahaan di berbagai negara mematikan situs mereka untuk pembaruan. Patch dirilis PHP pada 21 Oktober 2026, sementara Cloudflare mencatat jutaan upaya eksploitasi sesudah pengungkapan. Pemerintah Inggris mengonfirmasi 32 layanan publik tidak tersedia dan empat lainnya terganggu sebagian.

Poin kunci

  • Wiz Research menemukan kerentanan kritis PHP yang memungkinkan penyerang menjalankan kode dari jarak jauh tanpa login, serta membocorkan isi memori.
  • Semua rilis PHP satu dekade terakhir, dari versi 5.4, terkena setidaknya satu dari dua CVE dengan skor keparahan hingga CVSS 9.2.
  • Menteri teknologi Inggris, Baroness Lloyd, menyebut 32 layanan pemerintah tidak tersedia dan empat lainnya sebagian.
  • Matthew Prince dari Cloudflare melaporkan upaya eksploitasi melonjak dari puluhan ribu dalam 45 menit pasca-pengumuman menjadi jutaan.

JAKARTA, BIT NUSANTARA — Cacat kritis pada PHP, bahasa pemrograman yang menurut Wiz menggerakkan 70% situs web dunia, memaksa pemerintah dan perusahaan di sejumlah negara mengambil layanan mereka secara luring untuk dibenahi. Kerentanan yang dijuluki PHP2Shell itu ditemukan dengan bantuan model kecerdasan buatan dan mulai dieksploitasi dalam skala besar sesaat setelah diumumkan.

Wiz Research menyatakan kerentanan tersebut membuka celah eksekusi kode jarak jauh tanpa autentikasi, di samping pengungkapan isi memori. Dampaknya merentang luas: setiap rilis PHP sejak versi 5.4 dalam satu dekade terakhir terkena minimal satu dari kelemahan itu. Temuan tersebut dikelompokkan dalam dua CVE, dengan tingkat keparahan tertinggi CVSS 9.2.

PHP merilis patch untuk menambal sejumlah celah keamanan memori di mesin intinya pada 21 Oktober 2026. Perdana Menteri Jepang Sanae Takaichi meminta perusahaan memeriksa apakah situs publik mereka memakai PHP dan segera menerapkan tambalan. "Mohon periksa apakah situs web publik Anda menggunakan PHP, dan bersiaplah untuk menerapkan patch perbaikan yang akan dirilis malam ini… secepat mungkin," kata Sanae Takaichi.

Di Inggris, Baroness Lloyd of Effra, menteri teknologi, menyampaikan data terbaru kepada publik. "Informasi yang saya miliki adalah 32 layanan pemerintah tidak tersedia dan empat tidak tersedia sebagian," kata Baroness Lloyd of Effra. Menurut The Guardian, puluhan layanan itu dimatikan sebagai langkah pencegahan, sementara lembaga keamanan siber nasional Inggris mengirim 50.000 peringatan kepada organisasi terdampak.

Pemerintah Korea Selatan menaikkan tingkat siaga keamanan siber sektor swasta dan menerbitkan panduan bagi puluhan ribu perusahaan. Skala bahaya ini dibandingkan dengan bug Heartbleed pada 2014.

Lonjakan serangan terekam cepat. Matthew Prince, bos perusahaan infrastruktur internet Cloudflare, mencatat ribuan upaya eksploitasi dalam 10 jam sebelum pengumuman publik. "Itu melonjak ke puluhan ribu dalam 45 menit pasca pengumuman, ratusan ribu dalam dua jam, dan jutaan sekarang," kata Matthew Prince.

Amazon Threat Intelligence menemukan jejak yang lebih awal lagi. Perusahaan itu mengidentifikasi upaya eksploitasi PHP2Shell pada 17 Oktober 2026, atau empat hari sebelum pengungkapan CVE-2026-109618 dan CVE-2026-109619 ke publik. Embargo PHP semestinya berakhir pada 21 Oktober, tetapi bukti konsep eksploitasi pertama sudah terlihat beberapa jam lebih dulu pada hari yang sama. AWS memantau lebih dari 200 miliar peristiwa per menit dan memakai data jaringan umpan MadPot untuk memblokir percobaan serangan.

Peran kecerdasan buatan dalam penemuan ini juga disorot. Tim Wiz memakai Wiz Atlas, Gemini 4 Argon, dan GPT-5.6 Sol sepanjang penelitian. Raluca Ada Popa, kepala Gemini Security di Google DeepMind, menilai kontribusi model itu besar. "Gemini 4 Argon memberikan kontribusi berharga dalam menemukan kerentanan, pengembangan eksploit, deteksi serangan, dan validasi patch," kata Raluca Ada Popa.

Namun tidak semua pengamat sepakat bahwa serangan sudah merajalela. "Saat ini tidak terlihat seperti eksploitasi telah menyebar atau meluas," kata Ryan Austin, peneliti di perusahaan keamanan siber Calif. Pakar keamanan siber Prof Alan Woodward menduga ada kebocoran informasi: "seseorang telah membocorkan rahasia," katanya.

Patrick Fussell, kepala simulasi lawan global di IBM, menilai tempo penemuan celah sudah berubah. "Kecepatan penemuan kerentanan jauh melampaui apa pun yang pernah ada sebelumnya," kata Patrick Fussell. Ia juga memberi analogi risiko yang tersisa: "Bayangkan sebuah kamar hotel tempat Anda checkout, tetapi kunci Anda masih berfungsi," kata Patrick Fussell.

Dari sisi bisnis, Nigel Green, CEO deVere Group, mengingatkan cakupan paparannya. "Dengan PHP di balik pangsa web yang sangat besar, paparannya bisa mencapai hampir di mana pun orang menghabiskan uang secara online," kata Nigel Green.

PHP sendiri dikembangkan pada awal 1990-an untuk membantu menyajikan halaman web dinamis dan aplikasi.

// Analisis redaksi

pendapat Redaksi Bit Nusantara · terpisah dari fakta

Rangkaian fakta di bahan menunjukkan celah waktu yang kian sempit antara penemuan, pengungkapan, dan eksploitasi. Amazon mendeteksi upaya serangan empat hari sebelum pengumuman, dan bukti konsep eksploitasi muncul sebelum embargo PHP berakhir, sementara Cloudflare mencatat ribuan upaya dalam 10 jam sebelum pengumuman. Hal itu dapat menjadi pertanyaan serius tentang efektivitas embargo pengungkapan kerentanan bila informasinya bocor lebih dini, sebagaimana diduga Prof Alan Woodward. Pernyataan Ryan Austin bahwa eksploitasi belum tampak meluas berdampingan dengan jutaan percobaan yang dihitung Cloudflare; selisih ini patut dicermati, sebab jumlah percobaan belum tentu sebanding dengan jumlah serangan yang berhasil.

Penggunaan model AI sepanjang penelitian dan penilaian IBM bahwa kecepatan penemuan kerentanan melampaui masa lalu berpotensi mengubah perhitungan pengelola sistem: jeda antara tersedianya patch dan kesiapan penyerang dapat semakin pendek. Bagi pembaca di Indonesia, bahan yang ada tidak memuat data tentang situs atau layanan di dalam negeri. Namun dengan klaim cakupan 70% situs web dunia, pertanyaan apakah sistem lokal memakai PHP dan sudah ditambal layak diajukan oleh para pengelola situs.